Duas novas campanhas de spyware, batizadas por pesquisadores de ProSpy e TiktokSpy, estão enganando usuários de Android com supostas atualizações e plugins falsos para os apps Signal e TikTok, com o objetivo de roubar dados sensíveis. O golpe mostra como os grupos de cibercrime estão ficando mais sofisticados ao explorar justamente a confiança dos usuários em aplicativos de comunicação que já fazem parte da rotina digital.
Para dar mais credibilidade aos arquivos maliciosos, os golpistas criaram sites falsos que imitavam as páginas oficiais do Signal e do TikTok. Essa estratégia funciona porque aproveita a confiança natural das pessoas em marcas consolidadas, tornando muito mais fácil cair na armadilha.
O Signal, por exemplo, é um mensageiro criptografado de ponta a ponta, com mais de 100 milhões de downloads no Google Play. A fama de ser uma plataforma voltada para privacidade e segurança o transforma em um alvo óbvio para criminosos que querem explorar essa imagem.
Já o TikTok, desenvolvido pela chinesa ByteDance, continua disponível normalmente no Google Play e na App Store, exceto em países onde sofreu restrições locais, como a Índia. Sendo uma das redes sociais mais baixadas do planeta, com alcance bilionário, também vira isca ideal para ataques desse tipo, já que basta um detalhe malicioso escondido em um falso “update” para comprometer dados pessoais em escala massiva.
Descoberta e Análise das Campanhas ProSpy e ToSpy
Pesquisadores da empresa de cibersegurança ESET descobriram a campanha ProSpy em junho, mas acreditam que a atividade pode ter começado desde pelo menos 2024. Com base em sua análise, as campanhas maliciosas estão direcionando usuários nos Emirados Árabes Unidos.
Durante a investigação, eles descobriram “duas famílias de spyware previamente não documentadas” que fingem ser um Plugin de Criptografia do Signal e uma variante Pro do aplicativo tiktok, nenhum dos quais existe. Esta descoberta destaca a sofisticação crescente das campanhas de malware que criam produtos fictícios para enganar usuários.
O operador da campanha de spyware distribuiu os arquivos APK maliciosos através de páginas web que se faziam passar pelo site oficial do Signal e pela Samsung Galaxy Store. Esta estratégia de distribuição através de sites falsos é particularmente eficaz porque permite que os atacantes contornem as proteções das lojas oficiais de aplicativos.
Os sites fraudulentos incluíam URLs como https://signal.ct[.]ws e https://encryption-plug-in-signal.com-ae[.]net/ para o Signal, e store.latestversion[.]ai e https://store.appupdate[.]ai para a Samsung Galaxy Store. A maioria desses sites estava offline quando acessados, com um redirecionando para o site oficial do tiktok.
Capacidades Maliciosas e Coleta de Dados
Quando executados, as amostras de malware ProSpy solicitam acesso à lista de contatos, SMS e arquivos, que são as permissões típicas para aplicativos de mensagens. Esta estratégia de solicitar permissões aparentemente legítimas é uma tática comum usada por malware para evitar suspeitas dos usuários.
Uma vez ativo no dispositivo, o malware exfiltra os seguintes dados: informações do dispositivo (hardware, sistema operacional, endereço IP), textos SMS armazenados, a lista de contatos, arquivos (áudio, documentos, imagens, vídeos), arquivos de backup do tiktok, e lista dos aplicativos instalados.
Para permanecer oculto, o Plugin de Criptografia do Signal usa o ícone e rótulo ‘Play Services’ na tela inicial. Além disso, ao tocar no ícone, a tela de informações de um aplicativo legítimo do Google Play Service será aberta. Esta técnica de mascaramento é particularmente sofisticada porque faz com que o malware pareça um componente legítimo do sistema.
A campanha ToSpy pode ter se originado em 2022, com base no status ativo da infraestrutura de comando e controle (C2). Os pesquisadores encontraram múltiplos indicadores apontando para esse período: um certificado de desenvolvedor criado em 24 de maio de 2022, um domínio usado para distribuição e C2 registrado em 18 de maio daquele ano, e amostras enviadas para a plataforma de varredura VirusTotal em 30 de junho.
Mecanismos de Persistência e Evasão
Ambas as famílias de spyware usam três mecanismos de persistência em dispositivos infectados: abuso da API do sistema Android ‘AlarmManager’ para reiniciar automaticamente se morto, uso de um serviço em primeiro plano com notificações persistentes para que o sistema o trate como um processo de alta prioridade, e registro para receber eventos de transmissão BOOT_COMPLETED para que possa reiniciar o spyware após a reinicialização do dispositivo sem interação do usuário.
Estes mecanismos de persistência são particularmente eficazes porque garantem que o malware permaneça ativo mesmo se o usuário tentar removê-lo ou se o dispositivo for reiniciado. A combinação de múltiplos mecanismos de persistência torna o malware extremamente difícil de remover completamente.
Para furtividade, o ToSpy lança o aplicativo tiktok real quando aberto, se estiver disponível no dispositivo. Se o aplicativo não estiver presente, o malware tenta abrir o Huawei AppGallery (seja o aplicativo legítimo ou o navegador web padrão) para que o usuário possa obter o aplicativo tiktok oficial.
Esta estratégia de evasão é particularmente inteligente porque permite que o malware opere sem levantar suspeitas. Ao lançar o aplicativo legítimo quando disponível, o malware pode coletar dados em segundo plano enquanto o usuário acredita estar usando o aplicativo real.
Recomendações de Segurança e Prevenção
A ESET compartilhou uma lista abrangente de indicadores de comprometimento (IoCs) associados às campanhas ProSpy e ToSpy, mas a atribuição permanece inconclusiva. Esta falta de atribuição clara é comum em campanhas de spyware sofisticadas, onde os atacantes tomam medidas extensivas para ocultar sua identidade e localização.
Usuários Android são recomendados a baixar aplicativos apenas de repositórios oficiais ou confiáveis, ou diretamente do site do editor. Eles devem manter o serviço Play Protect ativo em seu dispositivo para desabilitar ameaças já conhecidas. Estas práticas básicas de segurança podem prevenir a maioria das infecções por malware.
É particularmente importante que os usuários sejam cautelosos ao baixar atualizações ou plugins de aplicativos de mensagens. Aplicativos legítimos como Signal e tiktok não requerem plugins externos ou atualizações de fontes não oficiais. Qualquer solicitação para baixar componentes adicionais deve ser tratada com extrema suspeita.
